Google patcht type confusion-bug in Chrome waarvoor exploit bestond

Google heeft een zeroday in Chrome gerepareerd. Een type confusion-bug in de Javascript-engine had al een exploit, al geeft Google weinig details. Het is de zevende keer in 2022 dat er een zeroday in Chrome wordt gepatcht.

Google noemt de zeroday in een blogpost, maar het bedrijf geeft er weinig details over. Het is de enige patch die voor nu wordt doorgevoerd. De fix zit in de Stable-versie van 107.0.5304.87/.88 van Chrome.

Google geeft weinig details over de kwetsbaarheid. Het bedrijf wacht daar meestal mee tot de update door veel gebruikers is doorgevoerd. De bug is geclassificeerd als High, en heeft de code CVE-2022-3723 gekregen. Het gaat om een type confusion-kwetsbaarheid in de V8-JavaScript-engine van Chrome. In dat geval controleert de engine niet goed welk type object wordt ingeladen. Dat kan in ernstige gevallen mogelijk maken dat een aanvaller code kan uitvoeren, maar de impact is in dit geval niet bekend.

Google zegt dat een exploit voor de bug bestaat, maar het bedrijf geeft daar zoals gewoonlijk geen details over. Ook is niet duidelijk of de bug actief werd uitgebuit via die exploit. Het is de zevende keer in 2022 dat Google een zeroday in Chrome repareert. De kwetsbaarheid werd aangedragen door drie externe beveiligingsonderzoekers, Jan Vojtěšek, Milánek en Przemek Gmerek van Avast.

Reacties (17)

[rvt1]

Wellicht had het handig geweest als er in het artikel staat wat nu een type confusion bug is?

[estej]

Met 'type' bedoelen ze verschillende types variabelen (integers, strings, floats, array van variabelen, maar ook classes, etc.)
De 'confusion' komt van het verwarren van de types: ergens in de code is het bijvoorbeeld mogelijk om een variabele van een bepaald type aan te bieden, maar de code neemt aan dat het een ander type variabele is.

Dit kan bijvoorbeeld leiden tot buffer over flows (als de variabele die het denkt dat het is veel kleiner is, dan de daadwerkelijke variabele.)
Hier kan een aanvaller dan weer exploits mee maken.

Dit is natuurlijk een versimpeling, maar ik hoop dat het een beetje duidelijker is geworden

[Reactie gewijzigd door estej op 23 juli 2024 14:29]

[THETCR]

Classes zijn geen types. JavaScript heeft een sugar syntax met de keyword, maar het is een Prototype based language. Het zijn gewoon objects. Net zoals arrays.

Types bepalen hoe iets in het geheugen wordt opgeslagen en hoe de CPU er mee omgaat. De abstractie in talen biedt vervolgens een set van standaard methods aan per type om de data te kunnen muteren.

[Pompidompi]

Hier wordt wel helder uitgelegd hoe een dergelijke type vergissing kan ontstaan: https://googleprojectzero...ome-infinity-bug.html?m=1

[rvt1]

Een verkorte versie van jouw link had dus in het artikel kunnen staan…

[Aegir81]

https://hackingportal.git...usion/type_confusion.html

According to Common Weakness Enumeration (CWE) The program allocates or initializes a resource such as a pointer, object, or variable using one type, but it later accesses that resource using a type that is incompatible with the original type. When the program accesses the resource using an incompatible type, this could trigger logical errors because the resource does not have expected properties. In languages without memory safety, such as C and C++, type confusion can lead to out-of-bounds memory access.

Als ik het goed begrijp, dan komt het omdat het programma in de war geraakt over het type data dat aangeboden wordt. Die verwarring kan dan uitgebuit worden.

Maar dat wordt ook in het artikel genoemd:

In dat geval controleert de engine niet goed welk type object wordt ingeladen. Dat kan in ernstige gevallen mogelijk maken dat een aanvaller code kan uitvoeren, maar de impact is in dit geval niet bekend.

[Reactie gewijzigd door Aegir81 op 23 juli 2024 14:29]

[BernardV]

Is dit een bug in Chrome of Chromium?
Als het de laatste is zijn er meer browsers getroffen.

[Blokker_1999]

De bug zit in de javacript engine, ik neem aan dat Chromium dezelfde engine gebruikt. Alternatieve browsers kunnen evenwel hun eigen engine geimplementeerd hebben.

[djwice]

Niet alleen browsers, denk bijvoorbeeld ook aan al je NodeJS containers. @TijsZonderH

Naast je eigen containers moeten ook SaaS platforms zoals Google Functions, Microsoft Azure Functions en AWS Lambda worden geupdate (doet de provider zelf).
Dat gaat om miljarden instances.

https://nodejs.dev/en/learn/the-v8-javascript-engine/

[Reactie gewijzigd door djwice op 23 juli 2024 14:29]

[Silent7]

Interessant, ik wilde even kijken welke Chrome versie hier draait, hij begon gelijk te updaten.
Had ie dat ook gedaan als ik de versie niet gecheckt had bij help -> over Chrome?

[Blokker_1999]

Ja, als je Chrome geinstalleerd hebt (en dus niet als portable app gebruikt), dan installeert deze ook een service welke periodiek gaat kijken voor updates, zelfs als Chrome niet draait. Dit in tegenstelling tot Firefox dat zichzelf alleen kan bijwerken wanneer Firefox gestart is.

[Aardedraadje]

Dit in tegenstelling tot Firefox dat zichzelf alleen kan bijwerken wanneer Firefox gestart is.

Firefox heeft sinds v90 ook gewoon automatische updates in de achtergrond.

[GoBieN-Be]

De Mozilla maintenance service bestaat al lang hoor.

[m.z]

Dit zijn de details die ik terugvind:

Google Chrome could allow a remote attacker to execute arbitrary code on the system, caused by a type confusion in V8. By persuading a victim to visit a specially crafted Web site, a remote attacker could exploit this vulnerability to execute arbitrary code or cause a denial of service condition on the system.

[hoi_roy]

Fijn dat je gefixt is. Browser die ik regelmatig gebruik. Maar helaas niet altijd even veilig..

[familyman]

Rare opmerking.

Er wordt software gemaakt, en men ontdekt manieren om die software te laten crashen. Die wordt opgelost.

Het is niet heel anders als de uitvinding van autogordels, in mijn ogen. Ervoor was het zo veilig als we konden, erna nog veiliger.

De metric moet niet zijn of deze bugs bestaan, maar hoe lang het duurt voor ze worden opgelost. Software kan nu eenmaal op nog veel meer manieren fout gaan, dan auto's.

[hoi_roy]

Dat er adequaat op gereageerd wordt lijkt mij een goed uitgangspunt. Een wereld zonder fouten bestaat immers niet.
Maar desondanks hoop ik dat ik mijn sentiment over het geheel "helaas niet altijd even veilig", wat blijkt uit het verhaal, ook mag delen.
Ik hoop niet dat ik daarmee iemand voor de borst stoot. En mocht dat toch zo zijn, was niet de insteek, trek t je niet aan.